LONDON (IT BOLTWISE) – Eine kürzlich entdeckte Schwachstelle im Windows Remote Procedure Call (RPC)-Protokoll könnte Angreifern ermöglichen, sich als legitime Server auszugeben und so privilegierte Zugriffe zu erlangen. Diese Sicherheitslücke, die von Microsoft bereits behoben wurde, wurde auf der DEF CON 33 von Forschern vorgestellt.
Die Sicherheitslücke, die als CVE-2025-49760 bekannt ist, betrifft das Windows Storage System und wurde von Microsoft als Spoofing-Schwachstelle eingestuft. Sie wurde im Juli 2025 im Rahmen des monatlichen Patch Tuesday-Updates behoben. Die Entdeckung dieser Schwachstelle wurde von Ron Ben Yizhak von SafeBreach auf der DEF CON 33 vorgestellt.
Das Windows RPC-Protokoll nutzt universell eindeutige Bezeichner (UUIDs) und einen Endpoint Mapper (EPM), um dynamische Endpunkte in Client-Server-Kommunikationen zu ermöglichen. Die Schwachstelle erlaubt es, einen zentralen Bestandteil des RPC-Protokolls zu manipulieren und einen sogenannten EPM-Poisoning-Angriff durchzuführen. Dadurch können unprivilegierte Benutzer sich als legitime, integrierte Dienste ausgeben und geschützte Prozesse dazu bringen, sich gegen einen beliebigen Server zu authentifizieren, den der Angreifer auswählt.
Der Angriff ähnelt dem DNS-Poisoning, bei dem ein Bedrohungsakteur DNS-Daten manipuliert, um Benutzer auf bösartige Websites umzuleiten. Im Fall des EPM-Poisoning wird der Endpoint Mapper manipuliert, um RPC-Clients zu täuschen und lokale oder domänenweite Privilegieneskalationen zu erreichen.
Ben Yizhak war überrascht, dass es keine Sicherheitsüberprüfungen gab, die ihn daran hinderten, bekannte, integrierte Schnittstellen zu registrieren, die zu Kerndiensten gehören. Dies öffnet die Tür für Angriffe, bei denen Angreifer Schnittstellen registrieren können, bevor die Originaldienste dies tun, insbesondere bei Diensten mit manuellem Start.
SafeBreach hat ein Tool namens RPC-Racer veröffentlicht, das unsichere RPC-Dienste identifizieren kann. Dieses Tool kann auch verwendet werden, um einen geschützten Prozess zu manipulieren, um die Maschinenkonten-Anmeldeinformationen gegen einen vom Angreifer ausgewählten Server zu authentifizieren. Die PPL-Technologie, die mit Windows 8.1 eingeführt wurde, soll sicherstellen, dass das Betriebssystem nur vertrauenswürdige Dienste und Prozesse lädt.
Der gesamte Angriff verläuft in mehreren Schritten: Zunächst wird eine geplante Aufgabe erstellt, die beim Anmelden des aktuellen Benutzers ausgeführt wird. Dann wird die Schnittstelle des Storage Service registriert, um den Delivery Optimization Service dazu zu bringen, eine RPC-Anfrage an den Storage Service zu senden, die dann mit dem dynamischen Endpunkt des Angreifers verbunden wird.
Durch den Aufruf der Methode GetStorageDeviceInfo() wird der Delivery Optimization Service dazu gebracht, sich mit einem bösartigen SMB-Server zu verbinden, der von den Angreifern eingerichtet wurde. Dies führt dazu, dass die NTLM-Hashes der Maschinenkonten offengelegt werden, die dann für eine Privilegieneskalation genutzt werden können.
SafeBreach betont, dass die EPM-Poisoning-Technik auch für Man-in-the-Middle- und Denial-of-Service-Angriffe erweitert werden könnte. Sicherheitsprodukte sollten daher Aufrufe zu RpcEpRegister überwachen und Event Tracing for Windows (ETW) nutzen, um solche Angriffe besser zu erkennen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Windows EPM-Schwachstelle: Neue Angriffsmethoden aufgedeckt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Windows EPM-Schwachstelle: Neue Angriffsmethoden aufgedeckt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Windows EPM-Schwachstelle: Neue Angriffsmethoden aufgedeckt« bei Google Deutschland suchen, bei Bing oder Google News!